Resposta curta: ISO/IEC 27001 especifica um sistema de gestão da segurança da informação (SGSI): como uma organização identifica os seus riscos de informação, escolhe controlos, implementa-os e melhora-os, com um auditor a certificar o resultado. O seu complemento, ISO/IEC 27002, descreve os próprios controlos. A ISO 27799 (informática de saúde: gestão da segurança da informação em saúde utilizando a ISO/IEC 27002) pega nesses controlos e explica como aplicá-los à informação pessoal de saúde: requisitos mínimos, riscos específicos da saúde e controlos que um hospital ou fornecedor de software de saúde deve tratar como obrigatórios em vez de opcionais. Você certifica-se contra a 27001; você usa a 27799 para decidir o que o certificado deve cobrir quando os dados são dados de saúde. Hospitais e programas nacionais pedem cada vez mais o certificado, mais prova de que os aspetos específicos da saúde foram considerados, ou um esquema nacional que os incorpore.
ISO/IEC 27001:2022 em um parágrafo
A ISO/IEC 27001:2022 é a norma internacional certificável para um sistema de gestão da segurança da informação. As cláusulas 4 a 10 estabelecem requisitos para contexto, liderança, planeamento baseado em risco, suporte, operação, avaliação de desempenho e melhoria; o Anexo A lista 93 controlos em quatro temas, selecionados e justificados numa Declaração de Aplicabilidade. A certificação envolve uma auditoria em duas fases, vigilância anual e recertificação a cada três anos.
A norma tem dez cláusulas; as cláusulas 4 a 10 são os requisitos: contexto e âmbito, liderança, planeamento (avaliação e tratamento de riscos, objetivos), suporte (recursos, competência, documentação), operação, avaliação de desempenho (monitorização, auditoria interna, revisão pela gestão) e melhoria. O Anexo A lista 93 controlos em quatro temas (organizacionais, pessoas, físicos, tecnológicos), reorganizados em 2022 a partir dos 114 controlos da edição de 2013, com novos para inteligência de ameaças, serviços na nuvem, prontidão das TIC para continuidade do negócio, mascaramento de dados, prevenção de fuga de dados, monitorização, filtragem web e codificação segura. Você não tem de implementar todos os controlos; tem de justificar, numa Declaração de Aplicabilidade, quais aplica e por que os outros não são relevantes. A certificação é uma auditoria de fase 1 e fase 2, seguida de vigilância anual e recertificação a cada três anos.
O que a ISO 27799 adiciona
A ISO 27799 adiciona orientações específicas para a saúde aos controlos da ISO/IEC 27002: para informações de saúde pessoais, torna vários controlos obrigatórios, incluindo identificação única do utilizador, controlo de acesso baseado em funções e relações de cuidado, registo de auditoria de cada acesso a registos de saúde, encriptação em dispositivos móveis e em trânsito, eliminação segura, gestão de incidentes e continuidade do negócio, e descreve ameaças específicas para organizações de saúde.
A 27799 (edição atual 2016) percorre os controlos da 27002 e, para cada um, indica o que as organizações de saúde devem fazer. Eleva vários de "deve considerar" para "deve": uma política de segurança da informação documentada específica para informação de saúde; identificação única de utilizador (sem contas partilhadas em sistemas clínicos); controlo de acesso baseado em função e na relação de cuidados; registo de auditoria de cada acesso à informação pessoal de saúde, retido e passível de revisão; encriptação da informação de saúde em dispositivos móveis e em trânsito; eliminação segura; gestão de incidentes que inclua violações de privacidade; e continuidade do negócio, pois um registo indisponível pode prejudicar um paciente. Explica também ameaças específicas da saúde: navegação interna em registos de pessoas conhecidas, arquivo incorreto entre pacientes, o ponto fraco de extratos de pesquisa e os longos períodos de retenção que mantêm dados antigos expostos.
Os dois juntos e os vizinhos
A ISO/IEC 27001 e a ISO 27799 trabalham em conjunto: a 27001 é o sistema de gestão certificável e a 27799 a orientação do setor de saúde sobre quais os controlos a incluir. Normas e esquemas vizinhos cobrem necessidades: ISO 27701 para privacidade, ISO 27017 e 27018 para nuvem, SOC 2 e HITRUST para clientes dos EUA, HDS (França), C5 (Alemanha), o NHS DSPT (Inglaterra) e ENS (Espanha) para aquisições nacionais.
| Norma ou esquema | Tipo | Use para |
|---|---|---|
| ISO/IEC 27001:2022 | Requisitos de SGSI certificáveis | O certificado que hospitais e concursos pedem |
| ISO/IEC 27002:2022 | Orientação de controlo | Implementar os controlos do Anexo A |
| ISO 27799:2016 | Orientação para o setor da saúde | Definir o âmbito e justificar controlos para dados de saúde; prova em due diligence |
| ISO/IEC 27701:2019 | Extensão de privacidade para 27001/27002 | Demonstrar gestão de privacidade alinhada com o RGPD como controlador e processador |
| ISO/IEC 27017 e 27018 | Orientação de segurança na nuvem e privacidade na nuvem | Provedores de nuvem e SaaS que tratam dados pessoais |
| SOC 2 (AICPA) | Relatório de atestação dos EUA (Tipo I ou II) sobre critérios de confiança | Clientes e investidores dos EUA; não é um certificado |
| HITRUST CSF | Estrutura e certificação de saúde dos EUA | Sistemas de saúde e pagadores dos EUA que o exigem |
| HDS (França) | Certificação obrigatória para alojamento de dados de saúde em França | Qualquer provedor que aloje dados de saúde franceses; construído sobre a 27001 |
| C5 (Alemanha) | Atestado de nuvem do BSI | Setor público alemão e aquisição hospitalar |
| NHS DSPT (Inglaterra) | Kit de ferramentas de autoavaliação anual | Qualquer fornecedor para o NHS |
| ENS (Espanha) | Estrutura nacional de segurança | Sistemas do setor público espanhol |
| IEC 81001-5-1 | Ciclo de vida seguro do produto para software de saúde | Cibersegurança de software de dispositivos médicos, juntamente com a IEC 62304 |
A maioria destes sobrepõe-se fortemente ao conjunto de controlos da 27001; as organizações mapeiam uma vez e reutilizam as provas. Vários esquemas nacionais (HDS, C5, ENS) são construídos sobre a 27001 e adicionam requisitos setoriais ou de país, razão pela qual a 27001 é o primeiro certificado sensato para uma empresa de tecnologia de saúde que vende na Europa.
O que certificar e quando
Para uma empresa de tecnologia de saúde que vende na Europa, a ordem habitual é certificar primeiro a ISO/IEC 27001, com âmbito definido para a plataforma e as equipas que a gerem, após implementar os controlos de saúde da ISO 27799 (registos de acesso por registo, acesso baseado em relações, encriptação, sem contas partilhadas, restauros testados), e depois adicionar a ISO 27701, HDS, C5 ou SOC 2 quando um mercado as exigir.
- Âmbito restrito e honesto: a plataforma e as equipas que a gerem, não os portáteis de toda a empresa, a menos que toquem nos dados. Os hospitais leem a declaração de âmbito.
- Faça os aspetos específicos da saúde mesmo antes da certificação: registos de acesso por registo de paciente, acesso baseado em função e relação, encriptação em todo o lado, sem contas partilhadas, restauros testados. O questionário de segurança de um hospital pede estes itens; a 27799 é a lista de verificação.
- Certifique a 27001 primeiro, adicione a 27701 se processar como controlador e processador para muitos clientes, adicione HDS ou C5 quando um mercado o exigir, SOC 2 quando os clientes dos EUA o fizerem.
- Mantenha a ligação ao RGPD visível: O Artigo 32 pede segurança apropriada ao risco, e um certificado 27001 com um âmbito informado pela 27799 é a forma mais reconhecida de o demonstrar. A secção de medidas da AIPA e o plano de tratamento de riscos do SGSI devem ser a mesma lista. Ver AIPA para uma aplicação de saúde.
- NIS2 (para entidades abrangidas) e a atualização proposta da HIPAA Security Rule parecem a 27001 Anexo A com autenticação multifator obrigatória e relato de incidentes; um SGSI responde a todos os três. Ver NIS2 para hospitais e fornecedores.
Na Anpheros
A Anpheros executa o seu programa de segurança seguindo a estrutura da ISO 27001 com os controlos de saúde que a 27799 trata como obrigatórios: registos de acesso por registo que a pessoa pode ler, acesso com âmbito definido por consentimento e tempo, encriptação em repouso e em trânsito, alojamento na UE, sem contas partilhadas, backups testados e um processo de incidentes com o relógio de 72 horas do RGPD. O site do desenvolvedor documenta a segurança da plataforma e a auditoria encontrada na revisão de segurança de outubro de 2026.
Esta página explica a regulamentação para equipas de produto e engenharia. Não constitui aconselhamento jurídico; os textos ligados em Fontes são a autoridade, e o seu oficial de proteção de dados, organismo notificado ou consultor decide para o seu caso. Última revisão: Outubro de 2026.
Páginas relacionadas
- NIS2 para hospitais e fornecedores de tecnologia de saúde
- AIPA para uma aplicação de saúde
- HIPAA vs RGPD
- Quem viu o meu registo médico?
- Mapa de regulamentação de dados de saúde
- Segurança da plataforma (site do desenvolvedor)
Fontes
- ISO/IEC 27001:2022
- ISO/IEC 27002:2022
- ISO 27799:2016, Informática de saúde: gestão da segurança da informação em saúde utilizando ISO/IEC 27002
- ISO/IEC 27701:2019
- ANS (França): Certificação HDS
- BSI (Alemanha): Catálogo de critérios C5
- NHS England: Data Security and Protection Toolkit
Perguntas frequentes
Posso ser certificado contra a ISO 27799?
Não. A 27799 é uma orientação; os organismos de certificação certificam a ISO/IEC 27001. Você pode ter o âmbito da 27001 e a Declaração de Aplicabilidade a referenciar a 27799 para que o certificado cubra demonstrativamente os controlos específicos da saúde.
O SOC 2 é equivalente à ISO 27001?
Eles sobrepõem-se, mas diferem em tipo: SOC 2 é um relatório de auditor sobre controlos ao longo de um período contra critérios de confiança, comum nos EUA; 27001 é um sistema de gestão certificado, comum na Europa e internacionalmente. Muitas empresas de tecnologia de saúde possuem ambos.
Preciso de HDS para servir clínicas francesas?
Se alojar dados de saúde para prestadores de cuidados franceses, sim: a certificação HDS é um requisito legal ao abrigo do código de saúde pública francês, e a maioria dos clientes franceses não assinará sem ela. Baseia-se na 27001, por isso comece por aí.
Quanto tempo demora a ISO 27001?
Para um âmbito focado com uma equipa empenhada, seis a doze meses do início ao certificado, a maior parte do tempo gasto a tornar os controlos reais e a recolher provas. A auditoria em si dura alguns dias.
Experimente grátis no sandbox
Sua primeira chamada FHIR em 5 minutos. Uma API HL7 FHIR R4 com o consentimento do paciente integrado: experimente na sandbox e depois conecte a sua própria app ou sistema clínico.
Grátis · 30 pacientes sintéticos · sem cartão
A Anpheros desenvolve um registo médico que o doente controla e pode partilhar com qualquer clínica, numa plataforma HL7 FHIR R4, sediada na UE. Estes guias ajudam-no a compreender e organizar a sua saúde; não substituem o seu médico.
Sobre a Anpheros →